Política de Desenvolvimento Seguro

A Política de Desenvolvimento Seguro define requisitos de segurança obrigatórios para todas as iniciativas de desenvolvimento de software e sistemas na organização. O seu principal objetivo é garantir que os riscos de segurança são identificados, avaliados e mitigados de forma proativa ao longo do ciclo de vida de desenvolvimento de software (SDLC), quer os produtos sejam desenvolvidos internamente, externalizados para terceiros ou integrem componentes open source. Esta política aplica-se a todos os ambientes relacionados com o desenvolvimento de software — desenvolvimento, testes, staging, ambiente de pré-produção — bem como a todas as partes interessadas envolvidas, incluindo desenvolvedores, proprietários de produto, DevOps, QA, arquitetos, gestores de projeto, contratados, fornecedores e prestadores de serviços. Um pilar da política é a incorporação abrangente de controlos de segurança em todas as fases de desenvolvimento. Desde a definição de requisitos até ao design seguro, implementação, testes e implementação, esta política estabelece e aplica normas de Programação segura alinhadas com fontes de referência como OWASP, SANS, CWE e SEI CERT, bem como melhores práticas relevantes específicas da linguagem. A validação de segurança não é opcional: todo o código deve passar por avaliação pelos pares e análise de segurança automatizada antes de chegar ao ambiente de produção, garantindo que as falhas são remediadas cedo e de forma abrangente. A utilização de código open source e de terceiros é estritamente gerida através de aprovação, análise de composição de software, revisões de licenças e varreduras de vulnerabilidades. Os papéis e responsabilidades são claramente definidos para todas as partes. O Diretor de Segurança da Informação (CISO) supervisiona a aplicação da política e aprova as normas de Programação segura e as decisões de exceção. Os Líderes de Segurança de Aplicações ou Gestores de DevSecOps são responsáveis por desenvolver orientações, integrar testes de segurança em pipelines de CI/CD e definir protocolos de remediação. Espera-se que os desenvolvedores e engenheiros de software sigam práticas de Programação segura, participem em formação de sensibilização em segurança especializada e realizem revisões de código pelos pares. Os proprietários de produto e gestores de projeto têm a responsabilidade de incluir segurança nos requisitos do projeto e garantir que são alocados recursos adequados. As equipas de TI e infraestrutura devem proteger todos os ambientes de desenvolvimento e staging, aplicar o princípio do menor privilégio e monitorizar alterações não autorizadas, enquanto os desenvolvedores terceiros devem fornecer evidência de auditoria de qualidade de código e de adesão aos protocolos de segurança da organização. A política estabelece requisitos claros de governação, como a utilização de sistemas de controlo de versões aprovados com controlo de acesso aplicado, rasto de auditoria e proteções de promoção de código. A segurança é incorporada tanto em fluxos de trabalho tradicionais como ágeis, com atividades obrigatórias que incluem revisão da arquitetura de segurança, modelação de ameaças, análise estática e dinâmica (SAST/DAST), assinatura de código e gestão cuidadosa de segredos e credenciais. Os processos de Gestão de Exceções são detalhados: quando restrições impedem a adesão total, as exceções de segurança exigem justificação formal, análise de riscos documentada, controlos compensatórios e um ciclo de revisão/aprovação envolvendo líderes de segurança e o CISO. Todas essas exceções são revistas regularmente e tratadas com ações de remediação. São exigidas revisões e atualizações regulares da política em resposta a alterações de metodologias, incidentes de segurança graves, alterações regulamentares ou normas emergentes da indústria (como OWASP Top 10 ou SLSA). As revisões são controladas, versionadas e comunicadas através de canais oficiais, garantindo sensibilização e responsabilização em toda a organização. Esta abordagem rigorosa fornece à organização uma base de desenvolvimento seguro robusta, auditável e alinhada com normas.